Proteção contra DDoS no Azure Front Door

Azure Front Door é uma CDN (Rede de Distribuição de Conteúdo) que ajuda a proteger suas origens contra ataques de DDoS HTTP(S), distribuindo o tráfego em seus 192 POPs (pontos de borda de presença) em todo o mundo. Esses POPs usam a ampla WAN privada do Azure para fornecer seus aplicativos e serviços web com mais rapidez e segurança aos usuários finais. O Azure Front Door também inclui a proteção contra DDoS das camadas 3, 4 e 7 e um WAF (firewall de aplicativo Web) para ajudar a proteger seus aplicativos contra explorações e vulnerabilidades comuns.

Proteção contra DDoS de infraestrutura

O Azure Front Door se beneficia da proteção contra DDoS da infraestrutura padrão do Azure. Essa proteção monitora e atenua os ataques de camada de rede em tempo real usando a escala global e a capacidade da rede do Azure Front Door. Essa proteção tem um histórico comprovado na proteção dos serviços corporativos e de consumidores da Microsoft contra ataques em larga escala.

Bloqueio de protocolo

O Azure Front Door dá suporte apenas aos protocolos HTTP e HTTPS e requer um cabeçalho Host válido para cada solicitação. Esse comportamento ajuda a evitar tipos de ataque DDoS comuns, como ataques volumetricos que usam vários protocolos e portas, ataques de amplificação DNS e ataques de envenenamento por TCP.

Absorção de capacidade

O Azure Front Door é um serviço distribuído globalmente em larga escala que atende a muitos clientes, incluindo os próprios produtos de nuvem da Microsoft, que lidam com centenas de milhares de solicitações por segundo. Posicionado na borda da rede do Azure, o Azure Front Door pode interceptar e isolar geograficamente grandes ataques de volume, impedindo que o tráfego mal-intencionado atinja além da borda da rede do Azure.

Cacheamento

Use recursos Azure Front Door caching para proteger seus back-ends contra grandes volumes de tráfego gerados por um ataque. Os nós de borda do Azure Front Door retornam recursos em cache, portanto, não encaminham esses recursos para o seu backend. Mesmo tempos de expiração de cache curtos (segundos ou minutos) em respostas dinâmicas podem reduzir significativamente a carga em seus serviços de back-end. Para saber mais sobre conceitos e padrões de cache, confira Considerações sobre cache e Padrão de cache separado.

Firewall de Aplicação Web (WAF)

Use Firewall de Aplicativo Web do Azure (WAF) para proteger contra vários tipos de ataques:

  • O conjunto de regras gerenciadas protege seu aplicativo contra muitos ataques comuns. Para obter mais informações, consulte Regras gerenciadas.
  • Bloqueie ou redirecione o tráfego de regiões geográficas específicas para uma página da Web estática. Para saber mais, veja Filtragem geográfica.
  • Bloqueie endereços IP e intervalos identificados como mal-intencionados. Para obter mais informações, consulte Restrições de IP.
  • Você pode aplicar a limitação de taxa para impedir que endereços IP chamem seu serviço com muita frequência. Para obter mais informações, consulte Limitação de taxa.
  • Crie regras do WAF personalizadas para bloquear automaticamente e limitar a taxa de ataques HTTP ou HTTPS que tenham assinaturas conhecidas.
  • O conjunto de regras gerenciadas de proteção de bot protege seu aplicativo contra bots inválidos conhecidos. Para obter mais informações, consulte Configurar proteção contra bots.

Para obter diretrizes sobre como usar Azure WAF para proteger contra ataques DDoS, consulte Application DDoS protection.

Proteger origens de rede virtual

Habilite a Proteção contra DDoS do Azure em sua rede virtual de origem para proteger seus IPs públicos contra ataques de DDoS. Esse serviço oferece mais benefícios, como proteção de custos, uma garantia de SLA e acesso à Equipe de Resposta Rápida do DDoS para obter assistência especializada durante um ataque.

Aprimore a segurança de suas origens hospedadas no Azure usando oLink Privado do Azur para restringir o acesso ao Azure Front Door. Esse recurso permite uma conexão de rede privada entre o Azure Front Door e seus servidores de aplicativos, eliminando a necessidade de expor suas origens à Internet pública.

Conteúdo relacionado

  • Last updated on